Ang Kasunduan sa Pagproseso ng Datos na ito (ang " DPA ") ay bumubuo ng isang mahalagang bahagi ng Kasunduan sa pagitan ng ELXAO SASU (ang " Processor ") at ng kliyente (ang " Controller ") at ipinapatupad ang Artikulo 28 ng Regulasyon (EU) 2016/679 (ang " GDPR ") at ang French Data Protection Act (Loi n° 78-17 noong ika-6 ng Enero 1978 na may susog). Nalalapat ito tuwing pinoproseso ng ELXAO ang personal na datos sa ngalan ng Controller sa kurso ng pagbibigay ng mga Serbisyo.
Mga Kahulugan
Ang mga terminong "personal na datos", "pagproseso", "pagkontrol", "pagproseso", "sub-proseso", "paksa ng datos", "espesyal na datos ng kategorya" at "paglabag sa personal na datos" ay may mga kahulugang ibinigay sa Artikulo 4 ng GDPR. Ang mga tuntunin ng Kasunduan ay nalalapat sa DPA na ito maliban kung saan hayagang pinapawalang-bisa ng DPA na ito ang mga ito.
Paksa, tagal at uri ng pagproseso
| Aytem | Paglalarawan |
|---|---|
| Paksa | Pagbibigay ng mga serbisyo sa operasyon ng marketing (mga website, SEO, bayad na media, analytics, CRM/email, branding, social media, localization, PM/events) sa ngalan ng Controller. |
| Tagal | Tagal ng Pakikipag-ugnayan, kasama ang mga panahon ng pagpapanatili na nakasaad sa ibaba. |
| Kalikasan at layunin | Pag-iimbak, organisasyon, pagsusuri, paglilipat, pagho-host at pagbura ng personal na datos kung kinakailangan upang maihatid ang mga Serbisyo. |
| Mga kategorya ng mga paksa ng datos | Mga end-user, prospect, customer, subscriber, empleyado, supplier at mga dadalo sa kaganapan ng Controller. |
| Mga kategorya ng personal na datos | Data ng pagkakakilanlan (pangalan, titulo), data ng pakikipag-ugnayan (email, telepono, postal address), data ng propesyonal (kumpanya, tungkulin), mga online identifier (IP, cookies, device ID), data ng pag-uugali (mga pag-click, session, conversion), data ng komersyal (mga order, pagsingil), data ng kaganapan (mga rehistrasyon, pagdalo, mga badge, mga recording). |
| Espesyal na datos ng kategorya | Hindi naproseso bilang default. Anumang eksepsiyon ay nangangailangan ng nakasulat na tagubilin at karagdagang mga pananggalang. |
Mga Tungkulin at Tagubilin
Ang Tagakontrol ang nagtatakda ng mga layunin at paraan ng pagproseso. Pinoproseso lamang ng ELXAO ang personal na datos batay sa mga dokumentadong tagubilin ng Tagakontrol, na pormal na isinasaad ng Kasunduan, mga utos, mga SLA, Patakaran sa Pagkapribado ng Tagakontrol at anumang partikular na nakasulat na tagubilin na ipapadala pagkatapos nito. Ipapaalam ng ELXAO sa Tagakontrol nang walang anumang pagkaantala kung isinasaalang-alang nito ang isang tagubilin na lumabag sa batas sa proteksyon ng datos.
Pagiging kompidensiyal ng mga tauhan
Tinitiyak ng ELXAO na ang bawat indibidwal na awtorisadong magproseso ng personal na datos ay nakatali sa isang maipapatupad na obligasyon sa pagiging kompidensiyal (kontrata sa trabaho, kontrata ng freelance o NDA) at nakatanggap ng pagsasanay sa proteksyon ng personal na datos na naaangkop sa kanilang tungkulin.
Mga hakbang sa seguridad
Nagpapatupad ang ELXAO ng mga naaangkop na teknikal at organisasyonal na hakbang (Artikulo 32 GDPR), kabilang ang:
- TLS 1.2+ encryption habang inililipat at AES-256 encryption habang hindi ginagamit para sa mga imbakan ng datos ng produksyon.
- Kontrol sa pag-access na nakabatay sa tungkulin na may prinsipyo ng pinakamababang pribilehiyo; mandatoryong multi-factor authentication para sa lahat ng administrador.
- Pinatigas na imprastraktura na hino-host ng EU na may regular na pag-scan at pag-patch ng kahinaan.
- Pagsusuri ng code, pamamahala ng mga sikreto, ligtas na SDLC at paghihiwalay ng mga kapaligiran sa produksyon/pagtatanghal.
- Sentralisadong pag-log na protektado ng integridad; pag-aalerto sa mga kahina-hinalang kaganapan sa pagpapatotoo at pag-export ng data.
- Mga naka-encrypt at nakahiwalay na backup ayon sa heograpiya na may mga dokumentadong pagsusuri sa pagpapanumbalik.
- Mga pamamaraan sa onboarding/offboarding ng mga tauhan, password manager, mga secure na laptop na may full-disk encryption.
- Ang mga plano para sa pagpapatuloy ng negosyo at pagtugon sa insidente ay sinusuri nang hindi bababa sa taun-taon.
Pagproseso ng sub
Binibigyan ng Controller ang ELXAO ng pangkalahatang pahintulot na kumuha ng mga sub-processor para sa pagsasagawa ng mga partikular na aktibidad sa pagproseso (hosting, paghahatid ng email, analytics, mga platform ng ad, mga tool sa suporta sa customer, mga platform sa pamamahala ng kaganapan). Pinapanatili ng ELXAO ang isang kasalukuyang listahan ng mga sub-processor, na makukuha kapag hiniling sa [email protected] , at magbibigay ng hindi bababa sa tatlumpung (30) araw na paunang abiso ng anumang nilalayong karagdagan o kapalit, kung saan maaaring tumutol ang Controller sa makatwirang mga batayan sa proteksyon ng data. Ipinapataw ng ELXAO sa bawat sub-processor ang mga obligasyon sa proteksyon ng data na hindi mas mababa sa mga nakasaad sa DPA na ito.
Mga internasyonal na paglilipat
Ang personal na datos ay pangunahing pinoproseso sa loob ng European Economic Area (EEA). Kung saan ang pagproseso ay may kasamang paglilipat sa labas ng EEA patungo sa isang bansa nang walang desisyon sa kasapatan, ang ELXAO ay umaasa sa mga naaangkop na pananggalang sa ilalim ng Artikulo 46 GDPR, pangunahin na ang Standard Contractual Clauses (SCCs) ng European Commission noong Hunyo 4, 2021, na dinadagdagan ng anumang karagdagang hakbang na kinakailangan ng pagtatasa ng epekto ng paglilipat.
Tulong sa Tagakontrol
Tinutulungan ng ELXAO ang Controller, sa pamamagitan ng naaangkop na teknikal at organisasyonal na mga hakbang, sa pagtupad sa mga obligasyon nito na tumugon sa mga kahilingan ng data-subject (Artikulo 12–22 GDPR) at sa pagtiyak ng pagsunod sa Artikulo 32–36 GDPR (seguridad, abiso ng paglabag, DPIA, paunang konsultasyon). Kasama sa mga Serbisyo ang karaniwang tulong; ang malaking trabaho na higit sa isang (1) Araw ng Paggawa bawat kahilingan ay maaaring singilin sa kasalukuyang mga propesyonal na rate ng ELXAO pagkatapos ng nakasulat na abiso.
Paglabag sa personal na datos
Inaabisuhan ng ELXAO ang Controller nang walang anumang pagkaantala at sa anumang pagkakataon sa loob ng pitumpu't dalawang (72) oras pagkatapos malaman ang isang paglabag sa personal na data na nakakaapekto sa data ng Controller. Kasama sa abiso ang uri ng paglabag, mga kategorya at tinatayang dami ng apektado, mga posibleng kahihinatnan at ang mga hakbang na ginawa o iminungkahi upang matugunan ito.
Mga Pag-awdit
Ang ELXAO ay nagbibigay sa Controller, sa makatuwirang kahilingan at hindi hihigit sa isang beses bawat taon (maliban pagkatapos ng isang paglabag), ng impormasyong kinakailangan upang maipakita ang pagsunod sa DPA na ito, kabilang ang mga ulat na uri ng ISO 27001 / SOC 2 mula sa mga sub-processor kapag mayroon. Ang mga on-site na pag-audit ay maaaring isagawa ng Controller o isang inaprubahang third-party auditor na nakatali sa pagiging kumpidensyal, sa gastos ng Controller, na may makatuwirang paunang abiso at sa mga oras ng negosyo, sa paraang hindi makagambala sa mga operasyon ng ELXAO nang hindi makatwiran.
Pagbabalik o pagbura ng datos
Sa pagtatapos ng Kasunduan, ang ELXAO, sa pagpili ng Controller na ipinahayag sa loob ng tatlumpung (30) araw, ay magbabalik ng lahat ng personal na datos sa isang nakabalangkas, karaniwang ginagamit at nababasa ng makina na format, o buburahin ito mula sa lahat ng sistema ng produksyon at operasyon. Ang mga backup na kopya ay binubura sa karaniwang siklo ng pag-ikot (hanggang siyamnapung (90) araw) at maaaring panatilihin lampas sa panahong iyon kung saan kinakailangan lamang ng naaangkop na batas, kung saan mananatili ang mga ito sa ilalim ng mga obligasyon sa seguridad at pagiging kumpidensyal ng DPA na ito.
Pananagutan
Ang mga probisyon sa pananagutan ng MSA ay nalalapat sa mga paghahabol na nagmumula sa ilalim ng DPA na ito. Ang bawat partido ay nananatiling mananagot sa mga paksa ng datos at mga awtoridad na nangangasiwa alinsunod sa Artikulo 82 GDPR.
Makipag-ugnayan
Para sa anumang katanungan, kahilingan, o abiso tungkol sa proteksyon ng datos sa ilalim ng DPA na ito, makipag-ugnayan sa ELXAO sa [email protected] .